Zdravím vás, priatelia! Na sme sa oboznámili so základmi práce s logmi na FortiAnalyzer. Dnes pôjdeme ďalej a preskúmame hlavné aspekty práce s reportmi: čo reporty sú, z čoho sa skladajú, ako je možné upravovať existujúce a vytvárať nové reporty. Ako zvyčajne, najprv trochu teórie, a potom sa pustíme do praktickej práce s reportmi. Pod katom nájdete teoretickú časť lekcie, ako aj video lekciu, ktorá zahŕňa teóriu aj prax.
Hlavným cieľom reportov je skombinovať veľké objemy údajov, ktoré sa nachádzajú v logoch, a na základe existujúcich nastavení predstaviť všetky získané informácie v čitateľnej forme: vo forme grafov, tabuliek a diagramov. Na obrázku nižšie je uvedený zoznam prednastavených reportov pre zariadenia FortiGate (nezhromaždili sme všetky reporty, ale myslím, že už z tohto zoznamu je zrejmé, že aj "z krabice" je možné vytvoriť množstvo zaujímavých a užitočných reportov).
Ale reporty len predstavujú žiadané informácie v čitateľnej forme — neobsahujú žiadne odporúčania na ďalšie kroky v prípade zistených problémov.
Hlavné zložky reportov sú grafy. Každý report sa skladá z jedného alebo viacerých grafov. Grafy určujú, aké informácie je potrebné extrahovať z logov a v akom formáte ich predstaviť. Za extrakciu informácií sú zodpovedné datasety — SELECT dotazy do databázy. V datasetoch je presne určené, odkiaľ a aké konkrétne informácie je potrebné extrahovať. Po tom, čo sa v dôsledku dotazu objavia potrebné údaje, na ne sa aplikujú nastavenia formátu (alebo zobrazenia). Výsledkom sú získané údaje predstavené v tabuľkách, grafoch alebo rôznych typoch diagramov.
Vo SELECT dotaze sa používajú rôzne príkazy, pomocou ktorých sa určujú podmienky pre extrahované informácie. Najdôležitejšia vec, ktorú treba mať na pamäti — tieto príkazy musia byť aplikované v určitom poradí, presne v takom poradí, aké sú uvedené nižšie:
FROM — jediný z príkazov, ktorý je v SELECT dotaze povinný. Ukazuje na typ logov, z ktorých je potrebné extrahovať informácie;
WHERE — pomocou tohto príkazu sa určujú podmienky pre logy (napríklad určité meno aplikácie/útoku/vírusu);
GROUP BY — tento príkaz umožňuje zoskupiť informácie podľa jedného alebo viacerých vybraných stĺpcov;
ORDER BY — pomocou tohto príkazu môžete usporiadať výstup informácií podľa riadkov;
LIMIT — Obmedzuje počet výsledkov vracaných dotazom.
FortiAnalyzer obsahuje prednastavené šablóny pre reporty. Šablóny sú takzvaným rozložením reportu — obsahujú text reportu, jeho grafy a makrá. Pomocou šablón môžete vytvárať nové reporty, ak je v prednastavených potrebné minimálne zmeny. Prednastavené reporty však nie je možné upravovať a mazať — môžu byť skopírované a na kópii je možné vykonávať potrebné zmeny. Existuje aj možnosť vytvoriť vlastné šablóny pre reporty.
Niekedy sa môžete stretnúť s nasledujúcou situáciou: prednastavený report vyhovuje úlohe, ale nie úplne. Možno bude potrebné pridať nejaké informácie, alebo naopak - odstrániť. V takom prípade existujú dva varianty: skopírovať a zmeniť šablónu alebo samotný report. Tu je potrebné sa spoliehať na niekoľko faktorov.
Šablóny sú rozložením reportu, obsahujú grafy a text reportu, nič viac. Samotné reporty okrem takzvaného "rozloženia" obsahujú rôzne parametre reportu: jazyk, písmo, farbu textu, obdobie generovania, filtrovanie informácií a tak ďalej. Preto ak je potrebné vykonať zmeny len v rozložení reportu, môžete použiť šablóny. Ak je potrebná ďalšia konfigurácia reportu, môžete upravovať samotný report (alebo presnejšie jeho kópiu).
Na základe šablón môžete vytvárať niekoľko podobných reportov, preto ak máte urobiť množstvo podobných reportov, je preferované použiť šablóny.
V prípade, že vám prednastavené šablóny a reporty nevyhovujú, je možné vytvoriť ako novú šablónu, tak aj nový report.
Na FortiAnalyzer existuje aj možnosť nastaviť preposielanie reportov jednotlivým administrátorom na email alebo ich export na externé servery. Robí sa to pomocou mechanizmu Output Profile. V každom administratívnom doméne sa nastavujú samostatné Output Profiles. Pri konfigurácii Output Profile sa určujú nasledujúce parametre:
- Formáty odosielaných reportov — PDF, HTML, XML alebo CSV;
- Miesto, kam sa budú posielať správy. Môže to byť e-mail administrátora (na to je potrebné prepojiť FortiAnalyzer s e-mailovým serverom, čo sme preberali na minulom cvičení). Môže to byť tiež externý súborový server — FTP, SFTP, SCP;
- Môžete určiť, čo sa bude robiť s lokálnymi správami, ktoré zostali na zariadení po zaslaní — nechajte ich alebo ich odstráňte.
Ak je to potrebné, existuje možnosť urýchliť generovanie správ. Pozrime sa na dva spôsoby:
Pri vytváraní správy FortiAnalyzer zostavuje grafy z predkompilovaných SQL cache údajov, známych ako hcache. Ak údaje hcache neboli vytvorené pri spustení správy, systém najprv musí vytvoriť hcache a potom zostaviť správu. To zvyšuje čas na vytvorenie správy. Avšak ak nové logy pre správu neboli prijaté, pri opätovnom generovaní správy sa čas jej generovania výrazne zníži, keďže údaje hcache sú už skompilované.
Na zvýšenie výkonu generovania správ môžete povoliť automatické vytváranie hcache v nastaveniach správy. V tomto prípade sa hcache automaticky aktualizuje pri prijímaní nových logov. Príklad nastavenia je uvedený na obrázku nižšie.
Tento proces využíva veľké množstvo systémových zdrojov (najmä pre správy, ktoré vyžadujú dlhý čas na zostavenie údajov), preto je po aktivácii potrebné sledovať stav FortiAnalyzer: či sa výrazne zvýšila záťaž, či sa vyskytuje kritická spotreba systémových zdrojov. Ak FortiAnalyzer nezvláda záťaž, je lepšie tento proces vypnúť.
Taktiež treba poznamenať, že automatická aktualizácia údajov hcache je predvolene aktivovaná pre plánované správy.
Druhým spôsobom, ako urýchliť generovanie správ, je skupinová analýza:
Ak sa rovnaké (alebo podobné) správy generujú pre rôzne zariadenia FortiGate (alebo iné zariadenia Fortinet), môžete výrazne urýchliť proces ich generovania prostredníctvom skupinovej analýzy. Skupinová analýza správ môže znížiť počet tabuliek hcache a urýchliť čas automatického vyrovnávania, čím sa urýchli generovanie správ.
V príklade, uvedenom na obrázku nižšie, sú správy, ktorých názov obsahuje reťazec Security_Report, skupinované podľa parametra Device ID.
Vo video lekcii sa predstavuje teoretický materiál, ktorý bol predtým prejednaný, a taktiež sa zaoberáme praktickými aspektmi práce s reportmi — od vytvárania vlastných datasetov a grafov, šablón a reportov až po nastavenie presmerovania reportov administrátorom. Prajeme vám príjemné pozeranie!
Na ďalšej lekcii si vysvetlíme rôzne aspekty administrácie FortiAnalyzer a taktiež schému jeho licencovania. Aby ste ho nezmeškali, prihláste sa na náš .
Takisto môžete sledovať aktualizácie na nasledujúcich zdrojoch:
Zdroj: habr.com
